Foon buite die VPN? Roeteertonnel teenoor kliënt per toestel

Die skootrekenaar is aan die VPN gekoppel, die foon is op dieselfde Wi-Fi, en die foon blaai steeds vanaf die ISP-adres. Dit is nie ’n kliëntfout nie: ’n tonnel leef op die masjien wat dit beëindig, en niks anders erf dit deur nabyheid nie. Dekking versprei net wanneer die roeteerder self die kliënt hardloop, of wanneer ’n masjien doelbewus in ’n poort vir die LAN omskep word. Watter model jy wil hê, word deur drie dinge bepaal: die protokol wat jou verskaffer werklik praat, hoe verskillend die toestelle behandel moet word, en watter faling jy om nege die aand kan verdra.

Wat ’n roeteertonnel werklik dek

Wanneer die tonnel op die roeteerder eindig, deel elke toestel wat daardeur roeteer die uitgang. Dit is die aantreklikheid vir ’n televisie, ’n konsole of ’n toestel wat nooit ’n kliënt sal hardloop nie: niks om te installeer nie, niks om by te hou nie, en een plek om verskaffers te verander.

Die dekking is voorwaardelik op maniere wat mense verras. ’n Gassenetwerk of ’n tweede SSID met sy eie beleid volg die pad wat daardie beleid bepaal, nie die tonnel nie. ’n IPv6-pad kan ’n tonnel omseil wat net IPv4 dra. ’n Toestel met sy eie VPN-app of sy eie geënkripteerde oplosser ignoreer die roeteerder heeltemal. En die roeteerder se eie verkeer, opdaterings en DNS ingesluit, volg sy uitgangsbeleid, wat ’n ander pad is as die LAN se deurgestuurde verkeer.

Die kontrole is in beide modelle dieselfde en neem ’n minuut: vra twee toestelle watter adres die wêreld sien, en kyk dan in die roeteerder se verbindingslys vir die tonnel. As die foon die ISP-adres rapporteer terwyl die roeteerder ’n gevestigde tonnel wys, word die foon nie daardeur gerouteer nie, en geen herverbinding sal dit verander nie.

Waar ’n kliënt per toestel wen

Kliënte per toestel wen sodra vereistes uiteenloop. ’n Werkskootrekenaar het dalk ’n korporatiewe tonnel nodig waartoe die foon nie mag aansluit nie; ’n verskafferkliënt bied dalk verdeelde tonneling per toepassing, wat ’n roeteerder nie kan uitdruk nie; ’n konsole moet dalk buite bly om sy NAT-tipe te behou. Elke toestel faal ook op sy eie, so een vervalde intekening maak nie die hele huis stil nie.

Geloofsbriewe is die skerper argument. ’n Roeteerder wat namens almal koppel, hou een rekening, en elke persoon op daardie netwerk erf die toegang. As die bedoeling authentisering per persoon voor internettoegang is, kan ’n roeteertonnel alleen dit nie doen nie. Die gewone ontwerp is ’n captive portal wat die rekening valideer en die kliënt dan in ’n reeds gevestigde tonnel vrystel, wat meer bewegende dele is as wat die meeste huishoudings wil.

Protokolondersteuning beslis meer gevalle as voorkeur

Verbruikersroeteerders bied net die protokolle wat die vervaardiger verskeep het. ’n Roeteerder met PPTP, L2TP of gewone IPsec kan nie aan ’n verskaffer koppel wat net OpenVPN of WireGuard-profiele publiseer nie, en geen opstelling verander dit nie. Die eerlike opsies is ’n verskaffer wat ’n ondersteunde protokol praat, ’n roeteerder met OpenWrt of ander firmware met die kliënt wat jy nodig het, of ’n kliënt op elke toestel.

Die omgekeerde geval is net so algemeen: ’n OpenVPN-vaardige roeteerder kan nie ’n verskaffer gebruik wie se diens van ’n eie kliënt en sy eie roetebepalingstruuks afhang nie. Lees die verskaffer se bladsy oor ondersteunde protokolle voordat jy hardeware koop, en kontroleer die firmwareweergawe, want 'ondersteun WireGuard' op ’n produkbladsy beteken dikwels een spesifieke firmwaregenerasie.

’n Reisroeteerder met ’n WireGuard-kliënt is die goedkoop weergawe van die roeteerder-model, en dit is ’n redelike antwoord vir ’n handvol toestelle wat nie ’n kliënt kan hardloop nie. Dit is steeds ’n roeteertonnel, so alles hierbo oor gassenetwerke, IPv6 en gedeelde faling geld onveranderd.

Die derde opsie: ’n masjien as poort

Om ’n kliënt van ’n skootrekenaar te deel is moontlik, en dit is wat mense gewoonlik bedoel met die skootrekenaar in ’n roeteerder verander.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Dit werk tot die masjien slaap, die kliënt in ’n ander profiel herverbind, of die masjien se eie firewall deurgestuurde pakkette laat val. Dan verloor alles agter dit gelyktydig verbinding, en die faling lyk soos ’n dooie netwerk eerder as ’n VPN-probleem.

Vir ’n laboratorium of ’n tydelike opstelling is dit reg. As ’n permanente reëling maak dit een skootrekenaar die enigste foutpunt vir ’n huishouding, en dit eindig gewoonlik met iemand wat wonder hoekom die televisie opgehou werk het toe ’n deksel toegemaak is.

Inkomende poorte, DNS en die faling wat julle deel

Inkomende dienste beweeg saam met die tonnel. ’n Roeteerder-VPN breek gewoonlik poortstuur vir ’n LAN-bediener, en ’n dinamiese DNS-naam moet na die VPN-uitgang wys eerder as na die ISP-adres as die diens deur die tonnel bereikbaar moet wees. Sommige verskaffers bied glad nie ’n routeerbare inkomende adres nie, wat enige plan wat op een staatgemaak het, stil beëindig.

DNS volg die roeteerder wanneer die roeteerder die tonnel besit, wat gerieflik is tot een toestel ’n ander oplosser nodig het. ’n Kliënt per toestel kan dit uitdruk; ’n roeteerderbeleid kan nie sonder om die netwerk in twee te deel nie. Faling word ook gedeel, want een ineenstorting, een vervalde intekening of een slegte gestuurde roete ontkoppel elke toestel op dieselfde oomblik.

Kies die roeteerder-model wanneer die toestelle nie kliënte kan hardloop nie en een uitgang aanvaarbaar is. Kies kliënte per toestel wanneer beleide verskil, wanneer die verskaffer ’n protokol nodig het wat die roeteerder kort, of wanneer die rekening nie gedeel mag word nie. As ’n masjien die poort is, skryf neer watter koppelvlak watter netwerk deel en toets die geval 'tonnel af', want dit is die toestand waarin die meeste van hierdie ontwerpe verkeerd blyk te wees.